8月4日、Pierluigi Paganiniが「AI Runs the Hack: Chinese Actor Automates Cyberattacks With DeepSeek」と題した記事を公開した。この記事では、DeepSeekを使って標的選定から脆弱性探索・攻撃実行までをほぼ完全自律で行った中国語話者のハッキングキャンペーンをPalo Alto Unit 42が記録した事例について詳しく紹介されている。

「AIが自律でハッキングを完遂する」が理論から実例へ

Palo Alto Networksのセキュリティ研究チームUnit 42が、DeepSeekを核とした完全自律型サイバー攻撃キャンペーンの一部始終を記録した。攻撃者がAIに「やらせた」のではなく、AIが自ら考えて標的を選び、エクスプロイトを探し、攻撃を実行したという点が、これまでの事例と一線を画す。Unit 42はこの一連の挙動を「自律攻撃プロセス」と定義しており、研究者が実キャンペーンのセッションログ全体を通じてその過程を追跡・記録できた事例として報告している。

攻撃者のハンドルネームはknaitheおよびKnYuan。DeepSeekをオープンソースフレームワーク「Hermes Agent」（Unit 42レポート内で言及されているカスタムエージェント基盤。独立した公開リポジトリは現時点で未確認）に組み込み、インターネット上の脆弱な標的の列挙、エクスプロイトコードの取得、攻撃の実行までをAIに委ねていた。

この一切が外部から確認できたのは、攻撃者の凡ミスによる。操作のホームディレクトリでファイルサーバーを起動してしまったため、APIキー・エクスプロイトスクリプト・標的リスト・bashヒストリー・AIの完全なセッションログがそのまま露出した。Unit 42は事実上、攻撃者の画面を後から見返すことができた。

DeepSeekが「自分で考えて方針転換」した攻撃チェーン

Unit 42のレポートで最も読みごたえがあるのが、DeepSeekが実際の攻撃チェーンをどう処理したかの記録だ。

まずDeepSeekはLangflowの脆弱性（CVE-2026-33017）を見つけ、公開されたPoC（概念実証コード）をダウンロードし、84件の稼働インスタンスをスキャンした。しかし全標的がパブリックなフローIDまたは認証情報を必要とする設定で、侵入は失敗した。

※なお、本記事に登場するCVE番号（CVE-2026-33017・CVE-2026-3055・CVE-2026-39987）はいずれも2026年付番のものとして元記事に記載されている。編集部では元記事URLおよびUnit 42レポートに基づきそのまま転記しているが、読者においても参照元レポートで最新の番号を確認されることを推奨する。

ここで人間の補助なしに、DeepSeekは自分でこの状況を推論し、「デプロイ数が少なすぎる。より規模の大きいものを探すべきだ」と判断して次の標的に切り替えた。

その次の標的がワークフロー自動化ツールのn8nだ。GitHubでのPoC注目度がLangflowより高いことを根拠に選定し、FOFAスキャン（中国発のサイバースペース検索エンジン）で世界中に647,000件以上のn8nインスタンスが存在することを確認、うち25,000件以上が中国国内にあることを突き止めた。二つの脆弱性を連鎖させ、悪用可能なバージョン範囲を特定したが、アクセス可能なエンドポイントがすべて認証を要求しており、ここでも突破には至らなかった。

それでもDeepSeekは25,000件以上のIPから約100件をサンプリングし、そのうち約40件に対してバージョン情報を能動的に調査、3件の脆弱なシステムを特定した。Unit 42はこの一連の処理について、「人間であれば数百時間かかる標的分析を数分で実行した」と記している。

「自律」が失敗した一方で、手動攻撃は成功していた

AIの自律攻撃が壁にぶつかり続けていた間、同じキャンペーンの攻撃者（knaithe／KnYuan）が並行して従来型の手動ハッキングを行っており、こちらは実際に成功していた。つまり自律AIと手動攻撃は同一の攻撃者による同一作戦の「二本立て」であり、AIが停滞している間も人間主導の侵害は着実に進行していたことになる。

Unit 42が確認した被害は以下の通りだ：

• Citrix NetScalerの脆弱性（CVE-2026-3055）を通じて3組織からデータ窃取
• Marimoノートブックエンドポイント（CVE-2026-39987）11件でコマンド実行に成功
• Apache TomcatサーバーおよびWindows IKE VPNエンドポイントへのリバースシェル試行

マレーシアの政府機関と見られる標的に対しては、複数日にわたって繰り返し攻撃を行い、後の試みほどプロキシによる匿名化を慎重に重ねていた。自律型AIには見られなかった「粘り強さ」が手動攻撃には存在した。

使用したAIツールの構成が「意図」を示している

DeepSeek以外にも、攻撃者はQwen・GLM・Kimi・MiniMaxをテストしていた。加えてClaudeコードとOpenAI Codexにも限定的に接触しており、Western製ツールの評価も行っていた形跡がある。

ただし接続経路に明確な差がある。ClaudeとCodexはサードパーティプロキシ経由で接続し、帰属ヘッダーを除去していたのに対し、DeepSeekとQwenはネイティブAPIに直接接続しており、匿名化措置を取っていなかった。実際の攻撃に信頼して使ったのはDeepSeekとQwenであることが、この接続構成から読み取れる。

Hermes Agentにはカスタムスキルが3つ組み込まれていた：

• fofa-cyberspace-search：FOFAを使ったインターネット資産列挙
• godmode：LLMのジェイルブレーキング
• web-terminal-exploitation：認証なしWebSocketエクスプロイト

「失敗した」から安心してはいけない

Unit 42が強調するのは、自律攻撃が最終的に成功しなかった理由だ。防御側のシステム設定がたまたま平均より堅固だったに過ぎず、攻撃側のアプローチに弱点があったわけではない。

攻撃者の素性に関して、Unit 42は中国・珠海（Zhuhai）を拠点と推定している。その根拠の一つがGitHub上のサイドプロジェクトで、17のソースから新たに公開されたRCE脆弱性を自動収集し、DeepSeekで悪用可能性を判定してTelegramに通知するツールを公開していた。このキャンペーン以前から、AIに判断を委ねることに慣れていた攻撃者であることが伺える。

Unit 42のレポートは次のように締めくくっている。「本研究は、AIを活用した攻撃者が人間の介入なしに発見・評価・横展開・再標的化を行う自律攻撃プロセスを磨いているという、新興の脅威を裏付けるものだ」。

日本のセキュリティ担当者にとって示唆的なのは、自律AIが「まだ失敗している」という現状に安堵できないという点だ。今回の事例では手動攻撃が確実に成功を収めており、自律化はその効率を高める補助として機能している。AIの精度が向上するにつれ、現在は認証設定によって弾かれていた攻撃が突破できるようになる可能性は十分にある。パッチ適用・認証強化・公開エンドポイントの棚卸しといった基本的な対策の重要性を、改めて Unit 42は訴えている。

詳細はAI Runs the Hack: Chinese Actor Automates Cyberattacks With DeepSeekを参照していただきたい。